Электронное раскрытие, также электронное раскрытие доказательств () — совокупность юридических и технических процедур запроса, идентификации, , сбора, обработки, обозрения и анализа , а также их последующее предоставление уполномоченным лицам (сторонам судебного процесса). Такие процедуры, как правило, закреплены в законодательстве государств англосаксонской правовой семьи.
Основная задача электронного раскрытия доказательств заключается в эффективном взаимодействии технических специалистов, предоставляющих результаты исследования компьютерной информации, и юристов сторон судебного процесса, не имеющих технической квалификации. Технические специалисты отвечают за надлежащее закрепление электронных доказательств, обеспечивая их достоверность и предупреждая искусственное добавление, изменение или уничтожение исходных данных. Юристы, обладая глубокими знаниями правовых норм, осуществляют правовое сопровождение этого закрепления и представляют электронные доказательства в суд или иной орган, уполномоченный принимать юридически значимые решения.
Как только возникает возможность судебного разбирательства, вовлеченные в спор стороны обязаны сохранять информацию, хранящуюся в электронном виде, которая может иметь отношение к этому вопросу. Юристы обеих сторон дела определяют объем электронного раскрытия, выявляют и сохраняют соответствующие данные, а также направляют в суд запросы на электронное раскрытие и возражения противоположной стороны. Процедуры также используются в рамках внутренних расследований, финансовых аудитов и комплаенс-проверок, по результатам которых может приниматься решение об обращении в суд.
Этапы проведения Электронное раскрытие доказательств, как правило, производится в соответствии с эталонной моделью его проведения - «» (EDRM), представляющая собой набор лучших практик реализации данных процедур. Эталонная модель разработана и постоянно обновляется глобальным консультативным советом EDRM .
Подготовительный этап Назначаются лица, ответственные за проведение процедуры, определяются их роли и обязанности. Основываясь на перечне данных, запрошенных юристами другой стороны, составляется детальный план процедуры, включая цели, задачи и необходимые ресурсы. Определяются объем искомых данных и границы взаимодействия с инфраструктурой изучаемой организации. Изучаются политики и процедуры управления информацией, необходимые ее сотрудникам для эффективного сбора, хранения, использования и иной обработки компьютерной информации, обеспечивая ее доступность и безопасность. Проводится разведка сети организации, определяется используемое программное обеспечение для ведения документооборота, бухгалтерии, файлового обмена и почтового сервиса.
Идентификация Производится поиск конкретных накопителей, которые могут содержать компьютерную информацию, релевантную запросу другой стороны. В зависимости от запроса (например, сведения, касающиеся хозяйственной деятельности организации с другим интересующим контрагентом за выбранный период) определяется перечень накопителей, потенциально содержащих интересующую информацию (например, рабочие компьютеры и мобильные устройства сотрудников). Накопители, не попавшие в указанный перечень, на последующих этапах eDiscovery не используются и техническим специалистам не передаются. Это позволяет предотвратить операционные риски и сократить расходование ресурсов на обработку нерелевантных запросу данных. Возможно также включение в указанный перечень сведений и документов организации, содержащихся на бумажных, магнитных и иных носителях, которые могут быть оцифрованы.
Обеспечение сохранности данных Компьютерная информация, содержащаяся на выбранных накопителях, должна быть защищена от случайного либо намеренного изменения, повреждения или уничтожения. Это также касается накопителей, уже изъятых из информационного оборота организации или расположенных в удаленных сетевых хранилищах. Физические накопители извлекаются из оригинальных устройств, описываются, упаковываются и помещаются в специальные места хранения. Содержащимся в них массивам компьютерной информации присваиваются идентификаторы с помощью криптостойкого алгоритма вычисления контрольной суммы, изменение которых будет свидетельствовать о модификации исходных данных. В случае подобного инцидента ведение журнала доступа к накопителям позволит установить, кто мог внести несанкционированные изменения. Фиксируются даты создания, изменения и открытия электронных файлов, их размер и иные индексируемые системой параметры. Для предупреждения утраты в случае форс-мажора ключевых массивов данных производится их резервное копирование на отдельные архивные накопители. При транспортировке накопителей к месту проведения процедуры их содержимое может шифроваться с использованием криптографических алгоритмов для предотвращения инцидентов информационной безопасности.
Сбор данных Все ранее зафиксированные массивы данных аккумулируются в единое информационное хранилище. Это реализуется посредством создания побитовых копий выбранных накопителей, обеспечивающих точное дублирование содержащихся данных, включая скрытые файлы и метаданные. В случае невозможности создания образов производится копирование отображаемого содержимого их логических разделов. Скачивается содержимое облачных хранилищ, учетных записей социальных сетей и иных удаленных сетевых ресурсов. Данные нетипичных форматов (например, данные почтовых служб, файловых хранилищ, бухгалтерских учета, содержание веб-сайтов) дополнительно экспортируются через специализированное программное обеспечение.
Обработка данных Загруженные в единое информационное хранилище данные подготавливаются для дальнейшего обозрения и глубокого анализа. Обработка осуществляется с использованием специализированных платформ eDiscovery, обеспечивающих реализацию всех этапов процедуры. При отсутствии таковых обработка осуществляется с помощью комплекса криминалистического программного обеспечения, автоматизирующего процессы извлечения, удаления и преобразования компьютерной информации. Этап условно делится на пять фаз, каждая из которых охватывает основные процессы обработки компьютерной информации в их логическом порядке.
Определение и извлечение Для эффективного анализа система обработки должна корректно идентифицировать все загруженные данные. Необходимо определять такие типы файлов, как офисные и текстовые документы с различной кодировкой, а также приложения, изображения, аудиофайлы и видеофайлы. Данные, тип которых не удалось определить автоматически, не исключаются, а помечаются для последующего ручного анализа — это предотвращает потерю значимой информации. Удаленные файлы восстанавливаются с использованием программных методов (например, , восстановления из резервных и теневых копий), а также при помощи аппаратных методов – при наличии необходимых инструментов. Извлекается содержимое файлов архивов, образов физических накопителей, баз данных и виртуальных машин. Для обнаружения зашифрованных контейнеров используются программное измерение уровня информационной энтропии и другие математические критерии (например, критерий согласия , аппроксимация числа Пи методом Монте-Карло). При возможности программной дешифровки контейнеров их содержимое также извлекается. Все извлекаемые файлы проверяются на наличие вредоносных компонентов и при необходимости удаляются или помещаются в карантин для анализа. Каждой извлекаемой единице компьютерной информации присваивается дополнительный цифровой или цифро-буквенный идентификатор.
Первоначальная фильтрация Для уменьшения анализируемого массива данных применяется фильтрация по различным критериям: формат или расширение файлов, диапазон дат, наличие метаданных, расположение или размер файлов, словарь наименований или список контрольных сумм файлов. Системные и программные файлы, не представляющие интереса, удаляются после их обнаружения с помощью коллекций контрольных сумм . Определение контрольных сумм файлов, их побайтовое сравнение, поиск по метаданным и сигнатурам, использование алгоритма шинглов или иных программных методов позволяют удалить все дубликаты файлов из единого информационного хранилища. Помимо дедупликации указанные методы способны обнаружить файлы, сходные в процентном отношении по содержанию с оригиналом.
Идентификация текста и метаданных, их индексация После извлечения и фильтрации файлов необходимо идентифицировать и индексировать их текстовое содержимое и метаданные. Идентификация зависит от корректности определения кодировки (например, Юникод или ASCII), языка (например, латиница, арабская вязь или языки, использующие диакритические знаки), типа метаданных (например, авторство, история редактирования файла, GPS-координаты), наличия OLE-объектов, таблиц или HTML-данных, формата дат и часового пояса. Для извлечения текста из фотографий, изображений и светокопий документов используется оптическое распознавание символов. С помощью программных средств нейросети осуществляется каталогизация графических файлов по их содержимому (например, оружие, лица, порнография или конкретные объекты). Аудиофайлы проходят автоматическую транскрибацию, а видеофайлы обрабатываются с помощью оптического распознавания символов и транскрибации их аудиодорожек. После полной идентификации текста производится его индексация, представляющая собой его токенизацию и последующую загрузку в поисковый индекс в виде токенов, ускоряющих отображение результатов.
Подготовка выводных данных Индексированные данные конвертируются в формат, подходящий для выбранной платформы eDiscovery. Если такие платформы не использовались, данные оформляются вручную в наиболее удобный для дальнейшего анализа формат. Конвертация может подразумевать изменение структуры данных, сохраняя их содержание и источник обнаружения.
Формирование отчета обработки Для обеспечения прозрачности и проверяемости всех действий в соответствии с правилом ведется операционный аудит всех манипуляций с каждой единицей обработки и единым информационным хранилищем в целом. Формируются отчеты по извлечению, фильтрации и индексации данных, удостоверяющих неизменность файлов с момента их сбора и до окончания обработки.
Обозрение выходных данных Технические специалисты совместно с юристами другой стороны просматривают подготовленные данные для предварительной отметки релевантных, нерелевантных или наиболее значимых для дела файлов. Благодаря функциям автоматической или полуавтоматической идентификации релевантных файлов платформы eDiscovery существенно упрощают этот процесс. Эти системы используют разные критерии отбора и ключевые слова, а также нейросети для анализа данных. Такие платформы способны распознавать сложные паттерны и связи между данными, что делает процесс более эффективным и точным. Применение ИИ позволяет снизить количество ошибок и исключить субъективность, возникающую при ручном анализе данных, обеспечивая более надежные результаты и сокращая время, необходимое на обработку данных.
Анализ Проводится детальный анализ выводных данных, представляющих интерес для возможного судебного разбирательства. Классический подход eDiscovery предполагает ручной анализ данных. Однако с увеличением объема анализируемых данных технические специалисты начали активно использовать машинные алгоритмы анализа с применением нейросетей. Основными методами анализа являются: кластеризация - группировка файлов в кластеры по заранее установленным критериям, чтобы объекты в одном кластере были более похожи друг на друга, чем на объекты из других кластеров; логическая обработка переписки - автоматическая группировка сообщений и писем в блоки по адресату, периоду, тематике, а также выделение технических сообщений и сигналов; концептуальный поиск - изучение контекста всего входного массива для определения корректных отношений с текстовым содержимым; - поиск компьютерной информации по степени буквального или смыслового совпадения и релевантности поставленной задаче с возможностью ее уточнения;